Staatliche Hacks: Warum Deutschland Regeln für IT-Sicherheitslücken braucht

Ein Rechtsgutachten verweist auf Verfassungsverstöße beim Umgang mit Zero-Days. Ein neuer Gesetzentwurf soll dem BND sogar den Eil-Zugriff auf Systeme erlauben.

Wer im digitalen Raum unterwegs ist, verlässt sich tagtäglich auf die Sicherheit von Betriebssystemen, Apps und Netzinfrastrukturen. Doch wenn IT-Sicherheitslücken entdeckt werden, die den Herstellern noch unbekannt sind – sogenannte Zero-Days –, gerät der Staat in ein Dilemma. Auf der einen Seite steht das berechtigte Interesse, Bürger, Unternehmen und staatliche Einrichtungen vor Cyberangriffen, Erpressungs-Software und Wirtschaftsspionage zu schützen. Dafür müssten Schwachstellen umgehend den Herstellern gemeldet werden, damit diese Patches bereitstellen können. Auf der anderen Seite wollen Sicherheitsbehörden und Nachrichtedienste genau diese Lücken geheim halten und als Einfallstor nutzen, um Verdächtige zu überwachen oder offensive Cyberoperationen durchzuführen.

Ein Rechtsgutachten im Auftrag der Gesellschaft für Freiheitsrechte (GFF) erläutert, wie brisant dieser Zielkonflikt auf verfassungsrechtlicher Ebene ist. Ergebnis der juristischen Analyse von Thomas Wischmeyer und Paul Friedl (beide HU Berlin): Deutschland verstößt gegen das Grundgesetz, weil eine formell-gesetzliche Regelung für ein staatliches Schwachstellenmanagement bis heute fehlt. Bereits im Juni 2021 stellte das Bundesverfassungsgericht im Beschluss zu IT-Sicherheitslücken klar, dass aus dem Grundrecht auf Vertraulichkeit und Integrität informationstechnischer Systeme eine konkrete Schutzpflicht des Staates erwächst. Sobald staatliche Stellen von einer unbekannten Schwachstelle erfahren, verengt sich der allgemeine Schutzauftrag zu einer Handlungspflicht. Der Gesetzgeber muss laut den Verfassern verfassungsrechtlich zwingend vorgeben, wie Behörden diesen Zielkonflikt aufzulösen haben.

Dass es bisher an einem transparenten, gesetzlich verankerten Kriterienkatalog fehlt, ist aus rechtsstaatlicher Sicht fatal. Aktuell entscheiden Behörden weitgehend in Eigenregie und intransparent im Exekutivbereich, ob eine Lücke geschlossen oder für eigene Zwecke bevorratet wird. Dabei birgt das Offenhalten immenses Schadenspotenzial. Einem Staat gelingt es selten, exklusiv im Besitz einer Schwachstelle zu bleiben. Ein prominentes Beispiel zeigt die Gefahr: 2016 entwendete die Hackergruppe Shadow Brokers hocheffektive Zero-Day-Exploits des US-Geheimdiensts NSA. Kurz darauf richtete die Ransomware WannaCry weltweite Verheerungen in Hunderttausenden Systemen an.

Die Autoren erläutern daher die verfassungsrechtlichen Mindestanforderungen an ein künftiges Gesetz. Grundsätzlich müsse das Prinzip gelten, dass Schwachstellen im Regelfall unverzüglich an Hersteller gemeldet werden. Die temporäre Geheimhaltung dürfe nur eine absolute Ausnahme sein. Voraussetzung sei ein strukturierter, nachvollziehbarer Abwägungsprozesses, bei dem der Nutzen für eine konkrete Ermittlung gegen die diffusen Gefahren für die Allgemeinheit aufgewogen werde. Diese Entscheidung gehört nach Ansicht der Gutachter nicht in die Hände einzelner Polizeibehörden oder Geheimdienste. Sie müsse durch ein unabhängiges, interministerielles Gremium mit klarer rechtlicher und unabhängiger Kontrolle getroffen werden.

Besonders drängend wird die Debatte durch ein neues Gesetzgebungsvorhaben der Bundesregierung, das genau in die entgegengesetzte Richtung zu steuern scheint. Im Regierungsentwurf zur Reform des Nachrichtendienstrechts offenbart sich, wie intensiv Behörden künftig Schwachstellen und IT-Daten austauschen und ausnutzen wollen. So sieht der Entwurf in Paragraph 11 Absatz 1 Satz 2 vor, dass das Bundesamt für Sicherheit in der Informationstechnik (BSI) verpflichtet werden soll, Informationen und personenbezogene Daten an den Bundesnachrichtendienst (BND) zu übermitteln. Wenn das BSI Kenntnis von Schwachstellen erhält, könnten diese Informationen genutzt werden, um Datenströme gezielt nach Suchbegriffen zu durchsuchen. Diese müssten durch eben jene Schwachstellen angezeigt werden, um laufende Angriffe im Bundesgebiet aufzuklären.

Noch weiter geht Absatz 5 des Entwurfs: Damit soll eine explizite Ausnahme von dem Grundsatz geschaffen werden, dass ein Eingriff in IT-Systeme vorab angeordnet werden muss. Dem BND würde damit die Befugnis zur sogenannten Zugangssicherung eingeräumt. Die Begründung verweist auf eine extreme zeitliche Dringlichkeit. Oft vergingen zwischen dem Bekanntwerden einer technischen Realisierungsmöglichkeit und dem Schließen einer Lücke nur wenige Stunden. Um den Zugriff nicht zu verlieren, soll der BND ein Zielsystem sofort sichern dürfen – noch bevor eine richterliche oder unabhängige Anordnung vorliegt. Zwar betont die Regierung, dass bis zur Bestätigung durch den Unabhängigen Kontrollrat keine über die reine Zugangsschaffung hinausgehende Datenverarbeitung stattfinden dürfe. Trotzdem zeigt sich hier ein gravierender Eingriff in die Systemintegrität: Der Staat schafft sich im Eilverfahren Zugang zu Geräten, ohne dass die betroffenen Bürger oder unabhängige Stellen im Moment des Zugriffs eingreifen können.

Auch der Ankauf kommerzieller Spyware von privaten Anbietern sowie die Zusammenarbeit mit ausländischen Geheimdiensten verschärft die Lage. Wenn der Staat Trojaner von Drittanbietern erwirbt, deren Funktionsweise oder gar dahinterliegende Sicherheitslücken er nicht vollumfänglich kontrollieren kann, umgeht er potenziell das verfassungsrechtlich gebotene Schwachstellenmanagement. Auch hier fordern die Gutachter strikte gesetzliche Leitplanken, etwa durch streng gehandhabte Whitelists oder gar ein vollständiges Verbot kommerzieller Überwachungssoftware.

Der Gesetzgeber steht damit vor einer doppelten Aufgabe. Er darf sich nicht darauf beschränken, den Sicherheitsbehörden immer schnellere und tiefere Zugriffsrechte auf digitale Systeme einzuräumen. Er muss gleichzeitig seiner Schutzpflicht nachkommen und ein verfassungskonformes Schwachstellenmanagement etablieren. Nur wenn klare Gesetze festlegen, wann Sicherheitslücken gemeldet werden müssen und wie geheim gehaltene Exploits gesichert werden, lässt sich das Vertrauen in die digitale Infrastruktur aufrechterhalten.

Stefan Krempl

Flug in die digitale Cloud: Neue Luftfahrtstrategie setzt auf IT und Drohnen

Die Bundesregierung will den Luftraum umfassend digitalisieren, autonome Flugsysteme etablieren und die Cybersicherheit gegen geopolitische Schocks wappnen.

Das Bundeskabinett hat am Mittwoch eine neue Luftfahrtstrategie verabschiedet, um Deutschland zu einem führenden Standort für eine nachhaltige, sichere und wettbewerbsfähige Luftfahrt zu machen. Die technologische Modernisierung der gesamten Branche steht im Mittelpunkt dieses strategischen Fahrplans, der als Orientierungsrahmen für die kommenden 15 Jahre dient. Die Bundesregierung reagiert damit auf den anhaltenden internationalen Wettbewerbsdruck und untermauert den politischen Anspruch, die Luftfahrt wirtschaftlich, technologisch, souverän und resilient weiterzuentwickeln.

Ein funktionierender, sicherer und nachhaltiger Luftverkehr bewegt Menschen und Güter. Die Luftfahrt ist damit von zentraler Bedeutung für die Mobilität und für die Anbindung deutscher Güter an Märkte weltweit – ein wesentliches Merkmal für wirtschaftliche Stärke, Innovationskraft und Beschäftigung. Angesichts globaler Herausforderungen gewinnt dabei vor allem die digitale Transformation als Katalysator für Effizienz und Sicherheit an Bedeutung.

Die Luftfahrtindustrie ist laut dem Dokument eine industrielle Hightech-Branche, sie fördert Innovationen und garantiert Anbindung, Wertschöpfung und hochqualifizierte Arbeitsplätze. Sie leistet einen wichtigen Beitrag zu einem starken und leistungsfähigen Industriestandort und auch dazu, dass die Bundeswehr ihre Aufgaben erfüllen kann und einsatzbereit ist. Für all diese Aspekte enthält die Strategie unterschiedliche Handlungsansätze. Sie stellen vier Ziele in den Vordergrund: ökonomische und technologische Wettbewerbsfähigkeit, Souveränität durch Luftfahrt als militärische und zivile Sicherheitstechnologie, Resilienz des Luftfahrtstandorts als Zukunftsvorsorge sowie Nachhaltigkeit durch eine klimaschonende und umweltverträgliche Luftfahrt.

Ein Pfeiler der digitalen Transformation ist die wirtschaftliche Skalierung der unbemannten Luftfahrt. Die Potenziale der Drohnen-Ökonomie sollen umfassend genutzt und zu einem technologisch starken Ökosystem fortentwickelt werden. Neue Formen der Mobilität und unbemannte Luftfahrtsysteme fungieren dabei als Treiber, um zu einer umfassenden Digitalisierung des gesamten Luftraums und des Flugverkehrsmanagements zu gelangen. Das Flugtaxi von Dorothee Bär (CSU) lässt grüßen.

Um den Akteuren Planungssicherheit zu geben, arbeitet die Regierung an einem neuen Rechtsrahmen. Bis Ende 2026 soll ein nationales U-Space-Gesetz zur unbemannten Luftfahrt erarbeitet werden, das den sicheren Betrieb bemannter und unbemannter Systeme in gemeinsamen Lufträumen ermöglicht, zeitintensive Einzelfallprüfungen abbaut und standardisierte Zulassungsverfahren etabliert. Auch im militärischen Bereich übernehmen unbemannte Systeme zunehmend wichtige Aufgaben. Hier steigen die Anforderungen an KI-gestützte Autonomie, Sensorik sowie an eine sichere und resiliente Datenübertragung im vernetzten Systemverbund.

Mit der fortschreitenden Digitalisierung und Vernetzung rückt die IT-Sicherheit in den Fokus. Die Strategie betont, dass hochkomplexe, vernetzte Systeme in hohem Maße von einer robusten und resilienten Informationstechnik abhängig sind. Da die Luftfahrt ein attraktives Ziel für Cyberangriffe darstellt, ist eine signifikante Stärkung der Cybersicherheit unerlässlich, um die Flugsicherheit in einer digitalisierten Welt zu gewährleisten.

Die Bundesregierung stärkt dazu die Rolle des Bundesamtes für Sicherheit in der Informationstechnik (BSI) und intensiviert die zwischenbehördliche Zusammenarbeit. Betroffene Unternehmen erhalten ergänzende Beratungs- und Hilfeleistungen bei der Implementierung von Sicherheitsmaßnahmen, wobei ein besonderer Fokus auf den von der NIS2-Richtlinie erfassten Akteuren liegt. Auch die Verwaltung selbst soll modernisiert werden. Geplant ist eine durchgehende Digitalisierung der Luftfahrtverwaltung, bei der Bundes- und Landesbehörden über einen automatisierten Datenaustausch bei Genehmigungen, Lizenzen und Anerkennungen zusammenarbeiten, um Bürokratie abzubauen und Prozesse zu beschleunigen.

Neben der digitalen Infrastruktur addressiert die Strategie die Transformation der physischen Basis. Die Regierung setzt auf ein effizientes Netz an Flughäfen mit Regional-, Fracht- und Verkehrsflughäfen im 24-Stunden-Betrieb. An den Standorten sollen der digitale und klimaneutrale Betrieb sowie die Einbindung in intermodale Verkehrsnetze optimiert werden. Um den Luftverkehr in der Transformation zu unterstützen, entlastet der Bund die Branche bis 2029 bei den Flugsicherungsgebühren und Luftsicherheitskosten und senkt die Luftverkehrssteuer.

Gleichzeitig sollen die Bedingungen für erneuerbare Kraftstoffe (Sustainable Aviation Fuels) durch eine gezielte Stärkung der heimischen Produktion und eine bessere Berücksichtigung im Emissionshandel verbessert werden. Langfristig liegt der Schwerpunkt auf strombasierte Kraftstoffe (eSAF), um den Luftverkehr auf einen Netto-Null-Reduktionspfad zu führen.

Die Strategie stößt aber auf Kritik. Umwelt- und Verkehrsverbände wie die Bundesvereinigung gegen Fluglärm, Germanwatch und der Verkehrsclub Deutschland (VCD) bezeichnen das Papier als unzureichend. Sie bemängeln, dass die Strategie einseitig auf Wachstum und Wettbewerbsfähigkeit setze, ohne ambitionierte Antworten auf den Klima- und Ressourcenschutz zu geben. Germanwatch betont, der Hochlauf erneuerbarer synthetischer Kraftstoffe werde nicht mutig genug angepackt, um das Ziel der Klimaneutralität bis spätestens 2050 verlässlich zu erreichen. Die Exekutive will die Umsetzung der Strategie gemeinsam mit der Branche in einem kontinuierlichen Prozess weiterentwickeln und nach fünf Jahren einen ersten Fortschrittsbericht vorlegen.

Stefan Krempl

Cyber-Paradigmenwechsel: Deutschland gründet eigenes KI-Sicherheitsinstitut

Der Nationale Sicherheitsrat beschließt das DE-AISI. Experten warnen vor starren Behördenstrukturen im globalen Wettlauf um die besten Frontier-Modelle.

Die Fortschritte bei der Entwicklung Künstlicher Intelligenz haben die Bundesregierung zu einem strategischen Kurswechsel bewogen. Nun trat sogar der Nationale Sicherheitsrat unter dem Vorsitz des Bundeskanzlers zusammen, um die Folgen fortgeschrittener KI-Modelle für die Cybersicherheit in Deutschland zu bewerten. Dabei beschloss er zugleich die Gründung eines KI-Sicherheitsinstituts. Das Deutsche AI Security Institute (DE-AISI) soll als zentrale Anlaufstelle fungieren, um Kapazitäten zur Analyse moderner KI-Modelle samt ihrer Risiken zu bündeln, den Informationsaustausch mit ausländischen Partnern zu intensivieren und auf einheitliche internationale Standards hinzuwirken.

Die Notwendigkeit einer solchen Institution zeichnete sich seit Monaten ab. Anfang Mai forderte das Bundesamt für Sicherheit in der Informationstechnik (BSI) Sofortmaßnahmen, um die digitale Souveränität Deutschlands zu gewährleisten und kritische Abhängigkeiten zu verhindern. Dass das BSI eine Instanz zur Bewertung von Frontier-KI-Modellen verlangt, liegt auch an der Dynamik des Marktes. Ein Beispiel ist das neue Modell Mythos von Anthropic, das auf das Finden von Programmierfehlern spezialisiert ist. Was Entwicklern hilft, kann von Angreifern missbraucht werden, um Schwachstellen auszunutzen. BSI-Chefin Claudia Plattner spricht bereits von einem Paradigmenwechsel bei den Cyberbedrohungen.

Aus der Wirtschaft kommt Rückhalt für den Regierungsbeschluss. Susanne Dehmel vom Bitkom-Vorstand betont, dass Deutschland so endlich mit Staaten wie Großbritannien, den USA oder Frankreich gleichziehe. Neue KI-Systeme eröffneten Chancen, brächten aber auch systemische Risiken für Deutschlands Sicherheit und Souveränität mit sich. Das DE-AISI sollte laut Bitkom ein klar abgegrenztes Forschungsmandat erhalten und ein Lagebild zu Frontier-Modellen erstellen. Fragen des Arbeits-, Verbraucher- und Datenschutzes oder der KI-Ethik seien an anderer Stelle bereits kompetent abgedeckt. Das Institut werde aber nur erfolgreich sein, wenn internationale Spitzenkräfte gewonnen werden, wofür eine Finanzierung auf britischem Niveau nötig sei.

Genau hier sehen Experten erhebliche Hürden. Während Verhandlungen zwischen Kanzleramt, Digital- und Innenministerium sowie BSI und Bundesnetzagentur laufen, zeichnet sich eine Ansiedlung beim BSI mit kleiner Personalausstattung im unteren zweistelligen Bereich ab. Vor diesem Szenario warnt Felix Sieker, KI-Experte der Bertelsmann Stiftung. Das britische Vorbild arbeite mit über einhundert Stellen weitgehend autonom. Es funktioniere durch politisches Commitment, Top-Recruiting und ein agiles Umfeld. Dem britischen AISI sei es so gelungen, Spitzenkräfte von OpenAI und anderen Marktführern zu gewinnen. Deshalb erhielt das Institut auch frühzeitig exklusiven Vorab-Zugang zu neuen Modellen wie Mythos.

Ein Knackpunkt im Kampf um Talente ist die deutsche Behördenkultur. Spitzenforscher sind oft bereit, für gesellschaftlich relevante Arbeit auf die hohen Gehälter der Tech-Konzerne zu verzichten – allerdings nicht in starren Amtsstrukturen. Experten plädieren deshalb für eine eigenständige Behörde nach dem Vorbild der Innovationsagentur Sprind. Dies würde es erlauben, Fachkräften echten Gestaltungsspielraum zu bieten und die starre Tarifbindung des öffentlichen Dienstes zu umgehen. Ohne diese Flexibilität drohe das neue deutsche Sicherheitsinstitut im internationalen Netzwerk, dem mittlerweile zahlreiche globale Partner angehören, vom Fleck weg den Anschluss zu verlieren.

Stefan Krempl

Erfolgreicher Härtetest: OpenTitan-Sicherheitschip besteht Laborprüfung

Das Fraunhofer AISEC bestätigt die robuste Abwehr von Seitenkanal- und Laser-Angriffen des Open-Source-Chips OpenTitan und optimiert dessen Schutz für den Cloud-Einsatz.

In der modernen IT-Sicherheit gilt das Prinzip des „Root of Trust“ als Fundament von Integrität. Ein solcher Vertrauensanker sorgt in Servern, Laptops und Smartphones dafür, dass das System von der ersten Sekunde des Einschaltens an kryptografisch abgesichert ist und unbefugte Manipulationen am Betriebssystem oder der Firmware sofort erkannt werden. Das OpenTitan-Projekt hat sich hier einem radikalen Ansatz verschrieben: Statt auf proprietäre, geheime Designs der großen Tech-Konzerne zu setzen, entwickelt das Konsortium den weltweit ersten vollständig quelloffenen Hardware-Sicherheitschip auf Basis der RISC-V-Architektur.

Doch Transparenz allein reicht nicht aus, um Schadsoftware und hochspezialisierten Angreifern die Stirn zu bieten. Um die Widerstandsfähigkeit der Hardware vor dem massenhaften Einsatz in Serverlandschaften und Chromebooks auf Herz und Nieren zu prüfen, haben sich die Entwickler hochkarätige Unterstützung geholt. Das Fraunhofer-Institut für Angewandte und Integrierte Sicherheit (AISEC), hat in einer Kooperation mit den Designteams von Google, lowRISC und Nuvoton eine Sicherheitsüberprüfung der OpenTitan-Engineering- und Produktionssilizium-Chips durchgeführt.

Die Untersuchungen fanden im Hardware-Sicherheitslabor des AISEC statt, das über eine Zertifizierung nach Common Criteria EAL 7 verfügt. Das entspricht den höchsten internationalen Standards für Sicherheitsprüfungen. Die dortigen Experten blicken mit den Augen hochentwickelter Angreifer auf das Silizium und nutzen Methoden, die weit über herkömmliche Software-Exploits hinausgehen.

Im Fokus der Forscher standen physische Angriffe, die direkt an der Hardware ansetzen. Selbst wenn eine Verschlüsselung mathematisch unknackbar ist, verrät der Chip während der Berechnung unter Umständen winzige Details. Bei der Seitenkanal-Analyse messen die Prüfer feinste Schwankungen im Stromverbrauch des Prozessors oder analysieren die elektromagnetische Abstrahlung, um geheime kryptografische Schlüssel zu rekonstruieren.

Eine weitere Methode ist die Fehlerinjektion. Hierbei wird der Chip im laufenden Betrieb gezielt gestört, beispielsweise durch präzise gesetzte Laserpulse oder gezielte Spannungsschwankungen. Solche Manipulationen können den Prozessor dazu bringen, kritische Sicherheitsabfragen einfach zu überspringen oder geschützte Speicherbereiche freizugeben.

Um den OpenTitan-Chip auf diese harten Angriffsszenarien vorzubereiten, ging die Evaluierung in mehreren Phasen vonstatten. Die Experten nahmen die verschiedenen Kernkomponenten der Hardware ins Visier, darunter den Konfigurationsspeicher, die zentralen Rechenkerne sowie die kryptografischen Beschleuniger. Zunächst mussten die Chips aufwendig präpariert und für die Messungen freigelegt werden. Die enge Zusammenarbeit zwischen den Fraunhofer-Forschern und den Entwicklerteams zahlte sich dabei schnell aus: Identifizierte Schwachstellen wurden im laufenden Prozess analysiert und direkt durch Härtungsmaßnahmen im Design korrigiert.

Das Ergebnis dieser Kooperation ist aber nicht nur ein sichererer Chip, sondern auch ein technologischer Gewinn für die gesamte Open-Source-Community. Im Zuge der Arbeiten wurde ein offenes Test- und Evaluierungs-Framework entwickelt und verbessert. Diese Infrastruktur ermöglicht es der globalen Entwicklergemeinschaft, auch in Zukunft neue Analysemethoden zu teilen, Gegenmaßnahmen auszutauschen und neue Hardware-Generationen systematisch zu überprüfen. Das Framework bildet damit eine nachhaltige Basis für die kontinuierliche Absicherung offener Hardware.

Die unabhängige Überprüfung durch das AISEC untermauert das Versprechen des OpenTitan-Projekts, dass quelloffene Hardware im Hinblick auf die Sicherheit den proprietären Lösungen der etablierten Hersteller in nichts nachsteht. Durch die Kombination aus Transparenz des Quellcodes und einer unabhängigen, hochgradig professionellen Laborprüfung lässt sich laut den Fraunhofer-Experten ein neues Niveau an Vertrauenswürdigkeit für kritische Infrastrukturen erreichen. Die gewonnenen Erkenntnisse und Werkzeuge fließen direkt in zukünftige Produktionszyklen ein und ebnen den Weg für den sicheren Einsatz der OpenTitan-Plattform in einer Vielzahl von Anwendungsbereichen, von Cloud-Rechenzentren bis hin zu alltäglichen Endgeräten. Ferner stärkt das Projekt die künftige Forschung im Bereich neuartiger Sicherheitsarchitekturen wie etwa der Post-Quanten-Kryptografie.

Stefan Krempl

Signal-Phishing: Wie russische Agenten den „Faktor Mensch“ im Bundestag knacken

Trotz starker Verschlüsselung geraten hunderte Politiker und Militärs ins Visier der aktuellen Phishing-Operation via Signal. Das BSI plant nun In-App-Warnungen gegen die anhaltende Spionage-Welle.

Die Methoden der Geheimdienste passen sich rasant dem digitalen Zeitalter an. Was früher der klassische Briefkasten oder das konspirative Treffen im Park war, hat sich längst in die Hosentaschen von Entscheidungsträgern verlagert. Jüngste Berichte und eine Sitzung des Digitalausschusses des Bundestags am Mittwoch verdeutlichen eine beunruhigende Entwicklung: Russische Agenten agieren zunehmend unverfroren mit Blick auf Deutschland, wobei sie insbesondere den verschlüsselten Messenger-Dienst Signal für ihre Zwecke missbrauchen.

Im Zentrum der aktuellen Ermittlungen steht eine großangelegte Phishing-Kampagne, die bereits seit Monaten andauert und laut Bundesinnenministerium weiterhin aktiv ist. Die Strategie der Angreifer ist so simpel wie effektiv. Anstatt komplexe Schadsoftware zu entwickeln oder bisher unbekannte Sicherheitslücken in der Programmierung auszunutzen, setzen die Akteure auf den Faktor Mensch. Über gezielte Nachrichten werden potenzielle Opfer – darunter hochrangige Politiker, Journalisten und Angehörige des Militärs – unter Vorwänden dazu verleitet, sensible Zugangsdaten preiszugeben. Sobald die Angreifer Zugriff auf den Account haben, steht ihnen das gesamte Kontaktnetzwerk und die bisherige Kommunikation offen.

Dass hinter diesen Aktivitäten staatliche russische Stellen stehen, gelte unter Experten als gesichert, schreibt der Spiegel. Sowohl niederländische als auch US-amerikanische Geheimdienstbehörden hätten die Kampagne bereits Moskau zugeordnet. Auch das Bundesamt für Verfassungsschutz (BfV) sehe keinen Grund, an dieser Einschätzung zu zweifeln. Die Intensität der Angriffe sei bemerkenswert: Rund 13.200 Nummern seien ins Visier geraten, wobei die Mehrzahl der Betroffenen auf Bundesebene zu finden sei. Das unterstreicht die strategische Absicht der Operation, die primär auf die Informationsbeschaffung und das Ausspähen politischer Entscheidungsprozesse abzielt.

Interessanterweise rückt dabei ausgerechnet Signal in den Fokus, ein Dienst, der eigentlich für seine hohe Sicherheit und Ende-zu-Ende-Verschlüsselung bekannt ist. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) betont jedoch, dass die App an sich weiterhin als sicher einzustufen sei. Das Problem liege nicht in der Verschlüsselung, sondern in der Manipulation der Anwender. Das Unternehmen hinter Signal arbeitet bereits eng mit deutschen Behörden zusammen, um Nutzer proaktiver zu schützen – beispielsweise durch automatisierte Warnhinweise in dem Moment, in dem Nutzer aufgefordert werden, ihren PIN mit Dritten zu teilen.

Die politische Reaktion auf diese Bedrohungslage fällt deutlich aus. Der Verfassungsschutz soll verstärkt zum Abwehrdienst transformiert werden, um der neuen Dynamik der "Billigspione" und digitalen Angreifer entgegenzuwirken. Deutschland sieht sich hier an einer ersten Verteidigungslinie, die nicht mehr nur an physischen Grenzen verläuft, sondern in den Datenleitungen und auf den Displays der Mobiltelefone. In den Sicherheitsbehörden wird intensiv darüber diskutiert, wie man die Balance zwischen notwendiger Warnung und der Vermeidung von Panik hält.

Für die Betroffenen in Politik und Wirtschaft bedeutet das eine Rückkehr zur ständigen Wachsamkeit. Die Erkenntnisse aus dem Digitalausschuss zeigen, dass die Angreifer ihre Methoden ständig an die Abwehrmaßnahmen anpassen. Schulungen und Simulationen von Phishing-Angriffen werden als Pflichtmaßnahmen für Beschäftigte in sensiblen Bereichen diskutiert.

Denn wer über spannende Informationen oder ein einflussreiches Kontaktnetzwerk verfügt, steht automatisch im Fadenkreuz der Geheimdienste. In einer Welt, in der Drohnenunternehmer und vermeintliche Geschäftspartner als Deckmantel für Spionage dienen können, ist gesundes Misstrauen gegenüber unaufgeforderten Nachrichten auf dem Smartphone zur digitalen Überlebensstrategie geworden.

Stefan Krempl

Bundesrat fordert Herstellerpflicht für Sicherheitsupdates

Der Bundesrat hat am Freitag Position bezogen zur geplanten neuen Cybersicherheits-Strategie der EU-Kommission. In der Stellungnahme zu der einschlägigen Mitteilung der Brüsseler Regierungseinrichtung spricht sich die Länderkammer unter anderem für eine schärfere Inanspruchnahme von Herstellern von Hard- und Software aus:

Die Gewährleistungsrechte von Verbrauchern bedürfen im Zusammenhang mit Sicherheitslücken von IT-Produkten und -Dienstleistungen einer klaren Justierung. Der Bundesrat bittet die Kommission, hier Vorschläge für eine zeitgemäße Konkretisierung von Mängelbeseitigungsrechten zu entwickeln. Es sollte eine Pflicht zur Bereitstellung von Sicherheitsupdates in Erwägung gezogen werden, die transparente Vorgaben dazu enthält, wie schnell, regelmäßig und für welchen Zeitraum Hersteller den Verbrauchern entsprechende Angebote unterbreiten müssen.

Zu IT-Sicherheit & freier Software:

Aus Sicht des Bundesrates wird die Mitteilung den Potenzialen quelltextoffener Software ("Open Source") für die Steigerung der IT-Sicherheit nicht gerecht. Der Bundesrat bittet die Kommission um eine konzeptionelle Klärung, inwieweit die öffentliche Hand zur Steigerung der IT-Sicherheit beitragen kann, indem sie selbst "Open Source"-Technologie einsetzt und deren Weiterentwicklung fördert. In diesem Zusammenhang sollten zudem die wirtschaftlichen Chancen -- auch für kleine und mittelständische IT-Unternehmen in Europa -- betrachtet werden.

Und noch was zu den laufenden "Crypto Wars", so ein wenig geht das in Richtung "Zitis"-Kurs:

Der Bundesrat nimmt zustimmend zur Kenntnis, dass die Kommission die Bedeutung der Verschlüsselung für die Wahrung von Grundrechten wie der Meinungsfreiheit und des Schutzes personenbezogener Daten sowie für die Sicherheit des elektronischen Geschäftsverkehrs hervorhebt.. Zugleich darf nicht außer Acht gelassen werden, dass Verschlüsselung durch Terroristen und andere Kriminelle zur Vorbereitung und Durchführung schwerer Straftaten missbraucht wird. Der Bundesrat unterstützt daher die Überlegungen der Kommission, die Rolle der Verschlüsselung beim Schutz der inneren Sicherheit und bei strafrechtlichen Ermittlungen näher zu untersuchen.

Rufe nach globaler Anti-Botnetz-Initiative

Länder wie Japan, Deutschland oder Australien haben bereits seit einiger Zeit nationale PC-Entseuchungszentren eingerichtet. Andere Staaten tun sich schwer mit entsprechenden Vorstößen für Anti-Botnetz-Initiativen, was auf dem 25. Treffen der Messaging, Malware and Mobile Anti-Abuse Working Group (M3AAWG) am Mittwoch in Berlin für Kontroversen sorgte. Peter Coroneos etwa, Ex-Chef der australischen Internet Industry Association, zeigte sich verwundert, dass vor allem die USA das Thema so spät aufgegriffen hätten. Als frustrierend bezeichnete er vor allem die fehlende Bereitschaft jenseits des Atlantiks, offenbar aus Wettbewerbsdenken heraus keine Informationen über Malware-Bedrohungen und Infektionen auszutauschen.

Auf dem südöstlichen Kontinent selbst habe sich die Internetwirtschaft vor zwei Jahren auf einen Kodex geeinigt, dem sich 34 Provider mit rund 90 Prozent Marktabdeckung angeschlossen hätten, führte Coroneos aus. Der "Internet Industry Code of Practice" (icode) enthalte Vorgaben zum Aufdecken, Informieren, Eskalieren und Berichterstatten rund um verseuchte Rechner. Wichtig sei es dabei insbesondere, Betroffene beim Entfernen der Malware zu helfen.

Genaue Zahlen über den Erfolg der im Dezember 2010 in Kraft getretenen Regeln konnte Coroneos zwar nicht vorweisen. Er verwies aber auf die große Unterstützung, die der Ansatz national aus Kunden- und Regierungskreisen erfahre. Wirklich Sinn machen laut dem icode-Präsidenten aber nur "globale Partnerschaften" in diese Richtung, da sonst die Nutzer eines Tages Diensten wie Online-Banking den Rücken kehrten. Er habe einen ersten Schritt in diese Richtung gemacht und den Kodex in Südafrika zur Unterschriftsreife gebracht.

Auch in den USA liefen Vorbereitungen für die Verabschiedung freiwilliger Leitlinien zur Botnetz-Bekämpfung, wehrte sich Kate Dean, Geschäftsführerin der US Internet Service Provider Association US ISPA, gegen den Vorwurf der Untätigkeit. Nachdem das US-Wirtschaftsministerium und das Department of Homeland Security (DHS) im vergangenen Jahr ein solches Vorhaben angemahnt hätten, habe die Internetwirtschaft gemeinsam mit anderen Industriezweigen wie dem Finanzsektor im Januar erste Ziele für eine "Industry Botnet Group" (IBG) umrissen.

Vergangene Woche habe dazu nach der Einrichtung eines Steuerungskomitees eine Besprechung im Weißen Haus stattgefunden, auf der erste Prinzipien für die Gruppe festgezurrt worden seien, berichtete Dean. Die Selbstregulierungsbemühungen könnten aber noch durch laufende gesetzgeberische Schritte zur Cybersicherheit drastisch geändert werden. Letztlich hielt auch sie eine "globale Antwort" auf das Botnetz-Problem für nötig, die ohne Einbindung der Regierungen nicht zu finden sei.

Im Rahmen der M3AAWG und dem Communications Security, Reliabitliy and Interopibility Council (CSRIC) der Regulierungsbehörde Federal Communications Commission (FCC) sei parallel ein spezieller Anti-Bot-Kodex für Zugangsanbieter entwickelt worden, ergänzte der Arbeitsgruppenleiter Mike O'Reirdan. Die Beteiligten deckten rund 80 Prozent des Breitbandmarkts in den USA ab. Es seien aber noch einige Hürden zu überwinden, um auch die restlichen Provider an Bord zu bringen. Bislang fehle ein System, um die Auswirkungen der gemeinsamen Anstrengungen zu messen. Eventuell stellten solche Zahlenspielereien aber auch nur eine Zeitverschwendung dar, wenn sich das Problem mittlerweile auf Malware in Kühlschränken oder Autos verschoben habe.

Thorsten Kraft vom Verband der deutschen Internetwirtschaft eco konnte dagegen aktuelle Statistiken von der hiesigen, vom japanischen Telecom Incident Information Sharing and Analysis Center inspirierten Plattform botfrei.de präsentieren. Demnach haben die Seite seit September 2010 rund 2,3 Millionen Surfer angesteuert, das zugehörige Blog rund vier Millionen. Das Entseuchungsprogramm DE-Cleaner komme auf 1,3 Millionen Downloads und Aktivierungen. 382.493 Nutzer seien bis April über eine Infektion informiert worden, von denen nur rund zwei Prozent Telefon-Support benötigt hätten. 17.000 Systeme seien gescannt worden, wovon 40 Prozent noch Malware aufgewiesen hätten.

Als nächsten Schritt bezeichnete Kraft die Arbeit an einem europäischen Advanced Cyber Defense Center (ACDC). Die EU-Kommission habe dieses mit acht Millionen Euro Startfinanzierung ausgerüstete Projekt ausgeschrieben, für das sich der eco zusammen mit mehreren Partnern beworben habe. Voraussetzung sei Beteiligung von mindestens vier Ländern und weiteren Interessensvertretern wie Strafverfolgern. Geplant sei in diesem Rahmen, eine zentrale Datenbank mit Informationen über das Verhalten von Schadcode aufzubauen. Eine Entscheidung über die eingegangenen Bewerbungen stehe binnen vier Wochen in Brüssel an.

Den 1998 eingeschlagenen finnischen Weg zu botfreien IT-Systemen schilderte Arttu Lehmuskallio von TeliaSonera. "Wir sind sehr schnell bei der Abwehr", führte der Techniker aus. Täglich erstellten die großen Provider des skandinavischen Landes Statistiken über infizierte Rechner. Für jeden Tag, den ein entsprechendes Gerät am Netz bleibe, gebe es einen neuen Eintrag. TeliaSonera führe auch eine Datenbank mit Problemkunden und habe den Versand von Warnungen weitgehend automatisiert. Zusätzlich habe man ein "umgekehrtes Darknet" aufgebaut: "Wir loggen allen Netzverkehr, wenn ein Ziel nicht im offiziellen Routingverzeichnis aufgeführt ist", erläuterte Lehmuskallio. Nicht erreichbare Adressen sollten dabei nicht verwendet werden. Als auffällig werde gewertet, wenn Teile des Datenverkehrs über 100 einzelne Ziele ansteuerten und dabei eine gewisse Zahl an Ports gescannt würde.

Langfassung eines Beitrags für heise online.